建站
咨詢
售后
建站咨詢
新聞中心
ProFTPD是針對Wu-FTP的弱項而開發(fā)的，除了改進(jìn)的安全性，還具備許多Wu-FTP沒有的特點，能以Stand-alone、xinetd模式運行等。
創(chuàng)新互聯(lián)于2013年創(chuàng)立，先為尚志等服務(wù)建站，尚志等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢服務(wù)。為尚志企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問題。
ProFTP已經(jīng)成為繼Wu-FTP之后最為流行的FTP服務(wù)器軟件，越來越多的站點選用它構(gòu)筑安全高效的FTP站點，ProFTP配置方便，并有MySQL和Quota模塊可供選擇，利用它們的完美結(jié)合可以實現(xiàn)非系統(tǒng)賬號的管理和用戶磁盤的限制。
一、 ProFTPD服務(wù)面臨的安全隱患
ProFTPD服務(wù)面臨的安全隱患主要包括：緩沖區(qū)溢出攻擊（Buffer Overflow）、數(shù)據(jù)嗅探和匿名訪問缺陷。
1、緩沖區(qū)溢出攻擊
長期以來，緩沖區(qū)溢出已經(jīng)成為計算機(jī)系統(tǒng)的一個問題。利用計算機(jī)緩沖區(qū)溢出漏洞進(jìn)行攻擊的最著名的案例是莫里斯蠕蟲，發(fā)生在1988年11月。但即使其危害人所共知，緩沖區(qū)溢出仍然是現(xiàn)在入侵的一個重要手段。
緩沖區(qū)溢出的概念：緩沖區(qū)溢出好比是將一百公斤貨物放進(jìn)一個只能裝十公斤的容器里。緩沖區(qū)溢出漏洞是一個困擾了安全專家30多年的難題。簡單來說，它是由于編程機(jī)制而導(dǎo)致的、在軟件中出現(xiàn)的內(nèi)存錯誤。這樣的內(nèi)存錯誤使得黑客可以運行一段惡意代碼來破壞系統(tǒng)正常地運行，甚至獲得整個系統(tǒng)的控制權(quán)。
2、數(shù)據(jù)嗅探
FTP是傳統(tǒng)的網(wǎng)絡(luò)服務(wù)程序，在本質(zhì)上是不安全的，因為它們在網(wǎng)絡(luò)上用明文傳送口令和數(shù)據(jù)，別有用心的人非常容易就可以截獲這些口令和數(shù)據(jù)。而且，這些服務(wù)程序的安全驗證方式也是有其弱點的，就是很容易受到"中間人"（man-in-the-middle）這種方式的攻擊。
所謂"中間人"的攻擊方式，就是"中間人"冒充真正的服務(wù)器接收你傳給服務(wù)器的數(shù)據(jù)，然后再冒充你把數(shù)據(jù)傳給真正的服務(wù)器。服務(wù)器和你之間的數(shù)據(jù)傳送被"中間人"轉(zhuǎn)手后做了手腳之后，就會出現(xiàn)很嚴(yán)重的問題。 截獲這些口令的方式主要為暴力破解。另外使用sniffer程序監(jiān)視網(wǎng)絡(luò)封包捕捉FTP開始的會話信息，便可順手截獲root密碼。
3. 匿名訪問缺陷
匿名訪問方式在FTP服務(wù)當(dāng)中被廣泛的支持，但是由于匿名FTP不需要真正的身份驗證，因此很容易為入侵者提供一個訪問通道，配合緩沖區(qū)溢出攻擊，會造成很嚴(yán)重的后果。
4. 拒絕服務(wù)攻擊
拒絕服務(wù)是一種技術(shù)含量低，但攻擊效果明顯的攻擊方式，受到這種攻擊時，服務(wù)器或網(wǎng)絡(luò)設(shè)備長時間不能正常提供服務(wù)，并且由于某些網(wǎng)絡(luò)通訊協(xié)議本身固有的缺陷，難以提出一個行之有效的解決辦法。防范拒絕服務(wù)攻擊需要我們從全局去部署防御拒絕服務(wù)攻擊策略，多種策略聯(lián)動防范，將拒絕服務(wù)攻擊的危害降至最低。
二、 加固ProFTPD服務(wù)端
1.升級版本
升級陳舊的ProFTPD版本，因為早期的ProFTPD版本存在的安全漏洞。對于一個新配置的ProFTPD服務(wù)器來說使用最新穩(wěn)定版本是最明智的選擇，可以在其官方網(wǎng)站下載其源代碼進(jìn)行編譯。ProFTPD最新版本是1.2.10，官方網(wǎng)址：http://www.ProFTPD.org .
2.使用xinetd方式運行ProFTPD
ProFTPD能以Stand-alone、xinetd兩種模式運行，當(dāng)用戶賬號比較少又經(jīng)常需要連接到ProFTPD服務(wù)器時推薦使用xinetd模式運行。使用xinetd方式運行ProFTPD可以有效防范DoS攻擊。
從傳統(tǒng)的守護(hù)進(jìn)程的概念可以看出，對于系統(tǒng)所要通過的每一種服務(wù)，都必須運行一個監(jiān)聽某個端口連接所發(fā)生的守護(hù)進(jìn)程，這通常意味著資源浪費。為了解決這個問題，一些Linux引進(jìn)了"網(wǎng)絡(luò)守護(hù)進(jìn)程服務(wù)程序"的概念。
Redhat Linux 8.0以后的版本使用的網(wǎng)絡(luò)守護(hù)進(jìn)程是xinted（eXtended InterNET daemon）。和stand－alone模式相比xinted模式也稱 Internet Super－Server（超級服務(wù)器）。
xinetd能夠同時監(jiān)聽多個指定的端口，在接受用戶請求時，他能夠根據(jù)用戶請求的端口不同，啟動不同的網(wǎng)絡(luò)服務(wù)進(jìn)程來處理這些用戶請求?？梢园褁inetd看做一個管理啟動服務(wù)的管理服務(wù)器，它決定把一個客戶請求交給那個程序處理，然后啟動相應(yīng)的守護(hù)進(jìn)程。xinetd模式工作原理見圖1.
圖1 xinetd模式網(wǎng)絡(luò)服務(wù)
和stand－alone工作模式相比，系統(tǒng)不想要每一個網(wǎng)絡(luò)服務(wù)進(jìn)程都監(jiān)聽其服務(wù)端口。運行單個xinetd就可以同時監(jiān)聽所有服務(wù)端口，這樣就降低了系統(tǒng)開銷，保護(hù)系統(tǒng)資源。但是對于訪問量大、經(jīng)常出現(xiàn)并發(fā)訪問時，xinetd想要頻繁啟動對應(yīng)的網(wǎng)絡(luò)服務(wù)進(jìn)程，反而會導(dǎo)致系統(tǒng)性能下降。察看系統(tǒng)為Linux服務(wù)提供那種模式方法在Linux命令行可以使用pstree命令可以看到兩種不同方式啟動的網(wǎng)絡(luò)服務(wù)。
xinetd提供類似于inetd+tcp_wrapper的功能，但是更加強大和安全。能有效的防止拒絕服務(wù)攻擊（Denial of Services）：
1、限制同時運行的進(jìn)程數(shù)。
通過設(shè)置instances選項設(shè)定同時運行的并發(fā)進(jìn)程數(shù)：
instances＝20
當(dāng)服務(wù)器被請求連接的進(jìn)程數(shù)達(dá)到20個時，xinetd將停止接受多出部分的連接請求。直到請求連接數(shù)低于設(shè)定值為止。
2.限制一個IP地址的最大連接數(shù)：
通過限制一個主機(jī)的最大連接數(shù)，從而防止某個主機(jī)獨占某個服務(wù)。
per_source＝5
這里每個IP地址可以連接單個IP地址的連接數(shù)是5個。
3.限制負(fù)載。
xinetd還可以使用限制負(fù)載的方法防范拒絕服務(wù)攻擊。用一個浮點數(shù)作為負(fù)載系數(shù)，當(dāng)負(fù)載達(dá)到這個數(shù)目的時候，該服務(wù)將暫停處理后續(xù)的連接：
max_load = 2.8
上面的例子中當(dāng)一項系統(tǒng)負(fù)載達(dá)到2.8時，所有服務(wù)將暫時中止，直到系統(tǒng)負(fù)載下降到設(shè)定值以下。說明要使用這個選項，編譯時要加入——with-loadavg，xinetd將而已處理max-load配置選項。從而在系統(tǒng)負(fù)載過重時關(guān)閉某些服務(wù)進(jìn)程，來實現(xiàn)某些拒絕服務(wù)攻擊。
4.限制所有服務(wù)器數(shù)目（連接速率）。xinetd可以使用cps選項設(shè)定連接速率，下面的例子：
cps = 25 60
第一個參數(shù)表示每秒可以處理的連接數(shù)，如果超過了這個連接數(shù)之后進(jìn)入的連接將被暫時停止處理；第二個參數(shù)表示停止處理多少秒后繼續(xù)處理先前暫停處理的連接。即服務(wù)器最多啟動25個連接，如果達(dá)到這個數(shù)目將停止啟動新服務(wù)60秒。在此期間不接受任何請求。
使用xinetd方式運行ProFTPD的步驟：
（1）檢查確省運行情況
確省情況下ProFTPD以stand－alone工作模式運行，可以使用"ps aux| grep proftpd"命令查看進(jìn)程號，然后使用kill命令中止運行。
（2）修改配置文件
修改/etc/proftpd.conf文件的ServerType選項由"standalone"改為"inetd".
（3）建立用戶組
groupadd nogroup
（4）創(chuàng)建配置文件/etc/xinetd.d/proftpd，代碼如下：
service ftp
{
flags = REUSE socket_type = stream
instances = 30
cps = 25 60max_load = 3.0wait = no
user = root server =
/usr/local/sbin/proftpd
log_on_success = HOST PID
log_on_failure = HOST RECORD disable = no
}
（5）重新啟動xinetd配置
killall -USR1 xinetd
（6）使用命令連接服務(wù)器
可以使用"ftp localhost"連接本地服務(wù)器，如果連接被拒絕，可以使用命令：
tail -f /var/log/messages
查看錯誤信息。
當(dāng)前名稱：Linux中建立安全的ProFTPD應(yīng)用經(jīng)驗談
轉(zhuǎn)載注明：http://www.5511xx.com/article/cdodoso.html
